En el artículo de hoy, os expongo un caso práctico de cómo se podría construir un modelo predictivo de IA para detectar ataques de phishing sobre correos electrónicos. Como sabemos todos los que nos dedicamos a esto (ya sea en forense, o en defensa) éste es un problema común en ciberseguridad, y la IA puede ser muy efectiva para identificar correos maliciosos, si sabemos orientarla. vamos al lío:

---

Ejemplo: Modelo predictivo para detectar phishing en correos electrónicos

1. Recopilación de datos

• Datos etiquetados: Obtener un conjunto de datos de correos electrónicos etiquetados como «phishing» o «legítimos». Por ejemplo:
  • Correos de phishing: Mensajes que intentan obtener información confidencial (contraseñas, números de tarjetas, etc.).
  • Correos legítimos: Mensajes normales de trabajo, promociones, newsletters, etc.
• Fuentes de datos:
  • Bases de datos públicas como Enron Dataset o Phishing Corpus.
  • Datos internos de la organización (si están disponibles).

---

2. Preprocesamiento de datos

• Limpieza:
  • Eliminar cabeceras innecesarias, firmas, y contenido irrelevante.
  • Convertir el texto a minúsculas y eliminar caracteres especiales.
• Tokenización: Dividir el texto en palabras o frases.
• Vectorización: Convertir el texto en números para que el modelo pueda procesarlo. Por ejemplo:
  • Usar TF-IDF (Frecuencia de Término – Frecuencia Inversa de Documento) para representar la importancia de las palabras.
  • O usar Word Embeddings (como Word2Vec o GloVe) para capturar el significado semántico.

---

3. Selección de características

• Extraer características relevantes del correo electrónico, como:
  • Presencia de palabras clave sospechosas («contraseña», «urgente», «banco», «verificación»).
  • Dominios de remitentes sospechosos.
  • Cantidad de enlaces o archivos adjuntos.
  • Errores gramaticales o ortográficos.
• Estas características se pueden combinar con el texto vectorizado para entrenar el modelo.

---

4. Elección del algoritmo

• Aprendizaje supervisado: Dado que tenemos datos etiquetados, podemos usar algoritmos como:
  • Regresión logística: Para clasificación binaria (phishing o no phishing).
  • Random Forest: Para manejar múltiples características y evitar sobreajuste.
  • SVM (Máquinas de Vectores de Soporte): Para separar clases en un espacio de alta dimensión.
• Aprendizaje profundo: Si el conjunto de datos es grande, se pueden usar redes neuronales como:
  • LSTM (Long Short-Term Memory): Para capturar dependencias en secuencias de texto.
  • Transformers: Modelos como BERT para análisis de lenguaje natural avanzado.

---

5. Entrenamiento del modelo

• Dividir los datos en:
  • Conjunto de entrenamiento: 70-80% de los datos.
  • Conjunto de validación: 10-15% para ajustar hiperparámetros.
  • Conjunto de prueba: 10-15% para evaluar el modelo final.
• Entrenar el modelo utilizando el conjunto de entrenamiento y validar su rendimiento.

---

6. Evaluación del modelo

• Métricas de evaluación:
  • Precisión: Porcentaje de correos clasificados correctamente.
  • Recall: Porcentaje de correos de phishing detectados correctamente.
  • F1-score: Media armónica de precisión y recall.
• Ejemplo de resultados:
  • Precisión: 95%.
  • Recall: 90%.
  • F1-score: 92%.

---

7. Implementación

• Integrar el modelo en un sistema de filtrado de correos electrónicos.
• Cuando llegue un nuevo correo, el modelo lo clasificará como «phishing» o «legítimo».
• Si se detecta phishing, el correo puede ser bloqueado o marcado como sospechoso.

---

8. Mejora continua

• Recolectar nuevos datos de correos phishing y legítimos.
• Reentrenar el modelo periódicamente para adaptarse a nuevas tácticas de ataque.
• Utilizar técnicas de aprendizaje activo para mejorar el modelo con ejemplos difíciles de clasificar.

---

Código de ejemplo (Python)

Aquí tienes un ejemplo simplificado usando Random Forest y TF-IDF:

---

Resultado esperado

El modelo podría predecir si un correo es phishing con una alta precisión, ayudando a proteger a los usuarios de ataques cibernéticos.

---

Este es solo un ejemplo básico, pero en un entorno real, el modelo se puede mejorar con más datos, características adicionales y técnicas avanzadas de IA. En siguientes artículos iré profundizando poco a poco en el tema.